JVNDB-2026-016796

NLnet Labsのunboundにおける予期せぬ動作に関する脆弱性　

NLnet LabsのUnboundバージョン1.25.0以下には、ジョスルロジックに脆弱性が存在し、その目的を無効にして解決性能を低下させる可能性があります。同一クエリの再送は、遅延しているクエリの経過時間を更新してしまい、ジョスルロジックがそれらを古くなった潜在的な置換対象として認識できなくなります。脆弱なUnboundにクエリを送信でき、さらにUnboundのクエリに対して遅延や悪意のある応答を返すドメインネームサーバーを制御できる攻撃者は、この脆弱性を悪用してUnboundの解決性能を低下させることが可能です。Unboundの「num-queries-per-thread」が上限に達すると、ジョスルロジックが発動します。新しいクエリが来ると、解決に時間のかかっている利用可能なクエリの半数が置換候補となります。脆弱性は、解決が必要な重複クエリが解決開始時のオリジナルクエリのタイムスタンプではなく、最新の重複クエリのタイムスタンプを使用して経過時間の判定を歪めることで発生します。キャッシュおよびローカルデータの応答性能には影響がありません。協調攻撃により、解決サービス拒否（DoS）状態に陥る恐れがあります。Unbound 1.25.1には、ジョスルロジックが意図通りに動作するように、着信クエリに対して初期の更新不可の開始時刻を付与する修正パッチが含まれています。

NLnet Labs

• unbound 1.25.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

NLnet Labs

• NLnet Labs : https://www.nlnetlabs.nl/downloads/unbound/CVE-2026-42534.txt

1. 予期せぬ動作(CWE-440) [その他]

1. CVE-2026-42534

1. National Vulnerability Database (NVD) : CVE-2026-42534

• [2026年05月22日]
    掲載